ตรวจจับ DNS รั่วไหลอย่างไร? ตรวจสอบปัญหา DNS ของพร็อกซีด้วย 4 ขั้นตอน

สรุปสำคัญ: ผ่านการตรวจ IP แปลว่าจุดออกเปลี่ยนไปแล้วเท่านั้น ไม่ได้แปลว่าคิวรี DNS ก็เดินทางไปตามเส้นทางเดียวกันด้วย พร็อกซีกับ DNS ดูแลคนละช่วงกระบวนการ พร็อกซีกำหนดว่าการเชื่อมต่อออกจากเครือข่ายทางไหน ส่วน DNS ทำหน้าที่แปลงโดเมนเป็น IP ถ้าคิวรีการแก้ไขชื่อโดเมนเดินไปตามเส้นทางที่ไม่คาดคิด นั่นคือ DNS รั่วไหล ตรวจจับใช้แค่ 4 ขั้นตอน แต่การอ่านผลให้เข้าใจสำคัญกว่าการรันเทสต์เสียอีก

ตั้งค่าพร็อกซีเรียบร้อย เปิดเว็บตรวจ IP หน้าเว็บแสดง IP ของพร็อกซี ก็เลยสรุปว่าสภาพแวดล้อมเครือข่ายไม่มีปัญหา กี่วันต่อมาตอนไล่หาสาเหตุที่บัญชีผิดปกติ ค่อยพบว่าคิวรี DNS เดินผ่านเครือข่ายท้องถิ่นมาตลอด

ปัญหาอาจไม่ได้อยู่ที่พร็อกซี คิวรี DNS อาจไม่เคยผ่านพร็อกซีเลย

เปิดพร็อกซีอยู่แล้ว ทำไมยังต้องตรวจ DNS

พร็อกซีกับ DNS เป็นสองช่วงกระบวนการที่แยกจากกัน เปิดพร็อกซีไม่ได้แปลว่า DNS ถูกยึดครองด้วย พร็อกซีกำหนดว่าการเชื่อมต่อส่งออกทางช่องทางเครือข่ายใด ส่วน DNS รับผิดชอบการแก้ชื่อโดเมน ทั้งสองเกี่ยวข้องกับขั้นตอนเครือข่ายต่างกัน พร็อกซีทำงานปกติไม่ได้รับประกันว่าคิวรี DNS เป็นไปตามคาด

พูดกันที่ระดับคำขอเครือข่าย ตอนเปิดเว็บไซต์ ไคลเอนต์จะขอ IP ของโดเมนเป้าหมายผ่าน DNS ก่อน หรือส่งต่อชื่อโดเมนให้ฝั่งพร็อกซีจัดการ วิธีไหนขึ้นอยู่กับโปรโตคอลพร็อกซี การพัฒนาไคลเอนต์ และการตั้งค่า DNS ของเบราว์เซอร์ การเปิดพร็อกซีไม่ได้หมายความอัตโนมัติว่าคิวรีทั้งหมดเดินตามเส้นทางที่คาดไว้ ต้องยืนยันด้วยการทดสอบจริง ไม่ใช่เห็นสถานะพร็อกซีเชื่อมต่ออยู่ก็วางใจได้

ต้องแยกขอบเขตของเรื่องนี้ให้ออกด้วย DNS รั่วไหลไม่เท่ากับ IP สาธารณะจริงถูกเปิดเผย สิ่งที่รั่วคือเส้นทางของคิวรีชื่อโดเมน ซึ่งอาจทำให้ผู้ให้บริการแก้ชื่อโดเมนหรือเครือข่ายท้องถิ่นเห็นว่าคุณค้นหาโดเมนใดบ้าง ส่วน IP จริงถูกเปิดเผยหรือไม่ต้องพิสูจน์ด้วยการตรวจ IP แยกต่างหาก หน่วยงานความมั่นคงไซเบอร์ของสิงคโปร์จัดให้การทดสอบ DNS รั่วไหลกับการทดสอบ IP รั่วไหลเป็นสองรายการตรวจแยกกันในคำแนะนำความปลอดภัย VPN ด้วยเหตุผลตรงนี้คือทั้งสองตรวจไม่ใช่เรื่องเดียวกัน (ดู แนวปฏิบัติความปลอดภัย VPN ของ CSA)

DNS รั่วไหลมักเกิดจากอะไร

สามที่มาที่พบบ่อยที่สุดล้วนเกี่ยวกับการตั้งค่า ไม่เกี่ยวกับว่าพร็อกซีเสียหรือไม่ ไล่ดูทีละข้อ

พร็อกซีจัดการแค่ส่วนหนึ่งของทราฟฟิก

การตั้งค่าพร็อกซีบางแบบรับเฉพาะคำขอเว็บของเบราว์เซอร์ ส่วนการแก้ชื่อโดเมนยังทำโดยระบบท้องถิ่น เป็นเช่นนั้นหรือไม่ขึ้นอยู่กับโปรโตคอลพร็อกซีและวิธีจัดการของไคลเอนต์ ถ้าคำขอเว็บเดินผ่านพร็อกซีแต่คิวรีการแก้ชื่อเดินผ่านเครือข่ายท้องถิ่น ผลการตรวจจะมีรีโซลเวอร์ของเครือข่ายท้องถิ่นปรากฏขึ้น

เบราว์เซอร์เปิดใช้ DNS ปลอดภัยแยกของตัวเอง

Chrome และ Firefox รองรับ DNS over HTTPS (DoH) เมื่อเปิดใช้ คิวรีการแก้ชื่อจะส่งผ่านการเชื่อมต่อ HTTPS ที่เข้ารหัสไปยังบริการที่กำหนด ช่วยลดโอกาสที่เครือข่ายท้องถิ่นจะมองเห็นคิวรีโดยตรง แต่การเข้ารหัสไม่ได้รับประกันว่าคิวรีจะเดินผ่านพร็อกซี และไม่ได้รับประกันว่าบริการที่เลือกตรงกับความคาดหวังของสภาพแวดล้อมปัจจุบัน ฟีเจอร์นี้ของ Firefox เปิดปิดแยกได้ ดู เอกสารอย่างเป็นทางการของ Mozilla

ระบบ เบราว์เซอร์ และไคลเอนต์พร็อกซี ต่างคนต่างใช้

แบบที่ซ่อนเร้นที่สุด ระบบใช้รีโซลเวอร์หนึ่ง เบราว์เซอร์ที่เปิด DoH ใช้อีกหนึ่ง ไคลเอนต์พร็อกซีก็ตั้งอีกหนึ่ง ซ้อนกันเข้าไปเส้นทางการแก้ชื่อกลายเป็นกล่องดำ ตัดสินจากคำว่าเชื่อมต่อแล้วที่ซอฟต์แวร์พร็อกซีแสดงไม่ได้ ต้องดูว่าเบราว์เซอร์ที่กำลังรันจริง ๆ เดินเส้นทางไหน

เมื่อเส้นทางการแก้ชื่อตกไปที่ ISP ท้องถิ่น คิวรีจะผ่านบริการแก้ชื่อของ ISP นั้น อ่านเปรียบเทียบเพิ่มได้จาก หลักการทำงานของ ISP พร็อกซีและสถานการณ์ที่เหมาะสม

ตรวจจับ DNS รั่วไหลอย่างไร? สี่ขั้นตอน

ตัวการทดสอบเองไม่ยุ่งยาก สำคัญคือก่อนทดสอบต้องมีความคาดหวัง และหลังทดสอบต้องมีอะไรเทียบเคียง ครบทั้งสี่ขั้นตอนแล้วบทสรุปถึงจะยืนหยัดได้

ขั้นตอนที่ 1: จดผลที่คาดหวังไว้ก่อน ก่อนทดสอบให้เขียนให้ชัดสามเรื่อง พร็อกซีปัจจุบันมีจุดออกอยู่ภูมิภาคใด การแก้ชื่อโดเมนควรให้ใครรับผิดชอบ และเบราว์เซอร์เปิด DoH อยู่หรือไม่ ถ้าไม่มีความคาดหวัง เห็นผลแล้วก็ประเมินไม่ได้

ขั้นตอนที่ 2: รันการทดสอบขณะเปิดพร็อกซี ใช้เว็บที่รองรับการตรวจ DNS รั่วไหล เช่น dnsleaktest.com กด Extended test ให้หน้าเว็บแสดงรีโซลเวอร์หลายตัวขึ้น หรือจะเปิด หน้าตรวจ DNS ของ BrowserLeaks เพื่อดูว่ารีโซลเวอร์อยู่ใต้องค์กรใด จดชื่อรีโซลเวอร์ องค์กร และภูมิภาคไว้

ขั้นตอนที่ 3: เทียบผลกับความคาดหวัง ตรวจดูว่ารีโซลเวอร์ในผลลัพธ์สอดคล้องกับการตั้งค่าระบบ เบราว์เซอร์ และพร็อกซีหรือไม่ ถ้ารีโซลเวอร์เป็นบริการ DNS ที่คาดไว้ และไม่มีเส้นทางแก้ชื่อท้องถิ่นที่ไม่คาดคิดปรากฏ ก็พอสรุปได้เบื้องต้นว่าการทดสอบครั้งนี้ตรงตามคาด ถ้าโผล่ ISP ท้องถิ่นหรือบริการแก้ชื่อแปลกหน้า ให้ยืนยันก่อนว่ามันไม่ได้เป็นส่วนหนึ่งของการตั้งค่าที่วางไว้จริง จากนั้นค่อยไล่ตรวจทีละรายการ ทั้งการจัดการ DNS ของไคลเอนต์พร็อกซี DNS ปลอดภัยของเบราว์เซอร์ และการตั้งค่าเครือข่ายของระบบ อย่ารีบตัดสินว่าพร็อกซีใช้ไม่ได้ การทดสอบครั้งเดียวสะท้อนแค่เงื่อนไขขณะนั้น ไม่ได้รับประกันว่าคำขอทุกชุดจะไม่มีปัญหา

ขั้นตอนที่ 4: แก้หนึ่งการตั้งค่า แล้วทดสอบซ้ำหนึ่งรอบ ถ้าจะปรับ ให้แตะครั้งละจุดเท่านั้น การจัดการ DNS ของไคลเอนต์พร็อกซี สวิตช์ DoH ของเบราว์เซอร์ หรือการตั้งค่าเครือข่ายของระบบ แก้แล้วทดสอบซ้ำเทียบกัน ถ้าแก้หลายอย่างพร้อมกัน ผลที่ได้จะแยกไม่ออกว่าอะไรทำงาน

อ่านผลการตรวจอย่างไร

ผลชุดเดียวกัน อ่านถูกคือเบาะแส อ่านผิดคือการตัดสินที่พลาด วิธีจัดการกับผลทั่วไปทั้งห้าแบบ

อีกกับดัก: บริการสาธารณะมักใช้ Anycast ตำแหน่งที่แสดงอาจไม่ใช่ตัวจริง

DNS รั่วไหล WebRTC รั่วไหล และฟิงเกอร์พรินต์เบราว์เซอร์ ต่างกันอย่างไร

สี่รายการตรวจเอาสี่ชนิดข้อมูลต่างกัน ผ่านข้อหนึ่งไม่ได้แปลว่าข้ออื่นก็ผ่าน เอามาวางเทียบกันแล้วขอบเขตชัดที่สุด

DNS กับ WebRTC เป็นสองอย่างที่สับสนกันง่ายที่สุด เพราะต่างก็มีคำว่ารั่วไหลติดชื่อ ทว่าหลักการทดสอบและวิธีแก้ของทั้งคู่ไม่เกี่ยวกันเลย วิธีตรวจและตั้งค่า WebRTC รั่วไหลเคยเขียนไว้ในบทความแยก ที่นี่จึงไม่ขยาย ส่วน IPv6 รั่วไหลเป็นอีกหนึ่งรายการในตระกูลเดียวกัน ตรวจว่าที่อยู่ IPv6 ลอดผ่านพร็อกซีไปหรือไม่ วิธีอยู่ที่ วิธีตรวจจับ IPv6 รั่วไหล

ทั้งสี่รายการสะท้อนข้อมูลต่างกัน ใช้แทนกันไม่ได้ ไล่ตรวจสภาพแวดล้อมพร็อกซี แนะนำให้ยืนยัน IP สาธารณะก่อน ต่อด้วย DNS และ WebRTC ปิดท้ายที่ฟิงเกอร์พรินต์กับการตั้งค่าสภาพแวดล้อม รายการไหนเอาจริงขึ้นอยู่กับสถานการณ์จริง

ใช้ MostMate แล้ว ควรจัดรายการตรวจเหล่านี้ไว้ในขั้นตอนอย่างไร

ลำดับที่แนะนำคือดูจุดออกก่อน ต่อด้วยการแก้ชื่อ แล้ว WebRTC สุดท้ายคิวการตั้งค่าสภาพแวดล้อม ใช้ MostMate จัดการหลายสภาพแวดล้อมเบราว์เซอร์ สามารถแยกการทดสอบการเชื่อมต่อพร็อกซีกับการตรวจ DNS รั่วไหลออกจากกันทำ

เรื่องแรกคือการตั้งค่าพร็อกซี ผูกพร็อกซีกับสภาพแวดล้อมแล้ว ใช้การทดสอบพร็อกซีในผลิตภัณฑ์ยืนยันสถานะการเชื่อมต่อ พร้อมไล่ดูชนิดโปรโตคอล (HTTP, HTTPS, SOCKS5, SSH) และข้อมูลยืนยันตัวตนด้วย ข้อควรจำคือการทดสอบพร็อกซีผ่านไม่ได้แทนการตรวจ DNS รั่วไหล เส้นทางจริงของคิวรี DNS ยังขึ้นอยู่กับการตั้งค่าไคลเอนต์พร็อกซี เบราว์เซอร์ และระบบ

จากนั้นเปิดหน้าตรวจ DNS ในสภาพแวดล้อมที่ผูกพร็อกซีนั้นไว้ วิธีเหมือนสี่ขั้นตอนข้างบน แล้วดูว่าเจ้าของรีโซลเวอร์ตรงตามคาดหรือไม่

เรื่องที่สองคือการแยกตัวของสภาพแวดล้อมเอง ในสถานการณ์หลายบัญชี พร็อกซี Cookie และพารามิเตอร์ฟิงเกอร์พรินต์ของแต่ละสภาพแวดล้อมควรเป็นอิสระจากกัน ไม่ยืมกันใช้ ขอบเขตของการแยกดูได้จาก ขอบเขตและการตั้งค่าการแยกสภาพแวดล้อมเบราว์เซอร์ ถ้าตั้งพร็อกซีผิดสภาพแวดล้อมหรือใช้ค่าร่วมกัน ผลการตรวจก็ไร้คุณค่าในการเทียบ การแยกช่วยจัดการเซสชันและการตั้งค่าที่ต่างกัน แต่ไม่ได้แปลว่าเส้นทาง DNS ถูกต้องเองโดยอัตโนมัติ และไม่ใช่ตัวแทนของการตรวจจากภายนอก

เรื่องที่สามจำขอบเขตไว้ ฟิงเกอร์พรินต์เบราว์เซอร์มีหน้าที่จัดระเบียบสภาพแวดล้อมให้เรียบร้อย แต่พร็อกซีใช้การได้จริงหรือไม่ DNS เดินตามเส้นทางที่คาดหรือเปล่า ยังต้องยืนยันด้วยการทดสอบจากภายนอก ทดสอบผ่านแล้วก็ไม่ใช่จบเรื่อง หลังเปลี่ยนการตั้งค่าหรืออัปเดตระบบแนะนำให้ทดสอบซ้ำ

คำถามที่พบบ่อย

เปิดพร็อกซีอยู่ แต่การตรวจ DNS แสดงรีโซลเวอร์ท้องถิ่น แปลว่าพร็อกซีใช้ไม่ได้แล้วหรือ

ไม่จำเป็น พร็อกซีอาจรับแค่คำขอเว็บ ส่วนคิวรีการแก้ชื่อระบบหรือเบราว์เซอร์จัดการเองแยกต่างหาก ไล่ตรวจทีละรายการ ทั้งการจัดการ DNS ของไคลเอนต์พร็อกซีและการตั้งค่า DoH ของเบราว์เซอร์ แก้จุดเดียวแล้วทดสอบหนึ่งรอบ

DNS รั่วไหลจะเปิดเผย IP จริงของฉันหรือไม่

วางเทียบกันตรง ๆ ไม่ได้ DNS รั่วไหลสะท้อนเส้นทางของคิวรีการแก้ชื่อโดเมน ส่วนจะเปิดเผยข้อมูลอะไรจริง ๆ ขึ้นอยู่กับการตั้งค่าเครือข่ายและสถานการณ์การทดสอบ IP สาธารณะจริงซ่อนอยู่หรือไม่ต้องยืนยันด้วยการตรวจ IP แยก ส่วนเส้นทางการแก้ชื่อตรวจเป็นเรื่องของตัวเอง

ใช้ฟิงเกอร์พรินต์เบราว์เซอร์แล้วยังเกิด DNS รั่วไหลได้หรือไม่

เกิดได้ ฟิงเกอร์พรินต์เบราว์เซอร์ดูแลการแยกสภาพแวดล้อมกับพารามิเตอร์ฟิงเกอร์พรินต์ ส่วนพฤติกรรม DNS ขึ้นอยู่กับโปรโตคอลพร็อกซีและการตั้งค่าระบบกับเบราว์เซอร์ การทดสอบจึงข้ามไม่ได้

ตรวจ DNS ผ่านแล้ว ยังต้องเช็กอะไรอีก

ยังมี WebRTC รั่วไหลกับฟิงเกอร์พรินต์เบราว์เซอร์อีกสองรายการ แต่ละอย่างใช้เครื่องมือของตัวเองยืนยัน ครบทั้งหมดแล้ว การตรวจชั้นเครือข่ายของสภาพแวดล้อมนี้จึงสมบูรณ์

บทสรุป

คุณค่าของการตรวจ DNS รั่วไหลไม่ใช่การได้คำว่าผ่านหรือไม่ผ่าน แต่คือการยืนยันว่าคำขอเครือข่ายของสภาพแวดล้อมปัจจุบันเป็นไปตามคาด IP สาธารณะ DNS WebRTC และฟิงเกอร์พรินต์เบราว์เซอร์ต่างมีวิธีตรวจของตัวเอง ใช้ผลข้อใดข้อหนึ่งแทนการยืนยันข้ออื่นไม่ได้ ใช้ฟิงเกอร์พรินต์เบราว์เซอร์แบบใดก็ตาม แนะนำให้ทดสอบซ้ำหลังพร็อกซีหรือการตั้งค่าเครือข่ายเปลี่ยนไป

ถ้าต้องจัดการหลายสภาพแวดล้อมเบราว์เซอร์ เริ่มจากทำความรู้จักการตั้งค่าสภาพแวดล้อมกับการจัดการพร็อกซีของ MostMate แล้วไล่ยืนยันทีละรายการตามขั้นตอนในบทความนี้ อยากตั้งชั้นพร็อกซีให้มั่นคงขึ้น ดาวน์โหลด MostMate ได้ รุ่นฟรีมีสองสภาพแวดล้อม เริ่มจากไล่ให้ครบทั้งขั้นตอนตรวจของสภาพแวดล้อมแรกก่อน